Mac VPN экспортунда эмне бар жана эмнени артта калтырат
Mac VPN экспорту параметрлерди жана кээде жеке ачкычты камтыйт, бирок ачкычтар боосунун сырсөзүн же түзмөк каттоосун камтыбайт. Адегенде ар бир бөлүктү текшериңиз.
Mac VPN кардарында Export басыңыз, ошондо байланышты сүрөттөгөн, бирок өзү байланыш болуп эсептелбеген файл аласыз. Сервер дареги, порт, протокол жана көбүнчө сертификаттар анын ичинде болот. Кирүү сырсөзү, жеке ачкычтын сырсөз фразасы жана дал ушул Mac-ка укук берүүчү каттоо адатта жок. Ошондуктан профиль таза импорттолуп, кардардын тизмесинде көрүнүп, баары бир биринчи аутентификация суроосунда ийгиликсиз болушу мүмкүн; бул ажырым форматтын касиети, бузулган жүктөө эмес.
| Part of the connection | Where it lives on the old Mac | What an export does with it |
|---|---|---|
| Server, port, protocol, routes | Client profile or managed settings | Usually included when the client exports configuration |
| Client certificate and private key | Inside the package, the login keychain, or issued by MDM | Included only if the format packs it; a keychain-held key stays behind |
| Login password, key passphrase | Login keychain | Left out by design |
| Device authorization or enrollment | Server side, bound to the certificate or the device record | Not transferable; the new device has to enroll |
Экспорттолгон файл чындыгында эмнени камтыйт
Экспорт — контейнер, жана файл кеңейтүүсү мазмундан аз айтат. OpenVPN профилдери текст: нускамалар, кошумча киргизилген <ca>, <cert> жана <key> блоктору. Tunnelblick жөндөөлөрү конфигурациялар менен жөндөөлөрдүн кысылган архивдери. Башкарылуучу .mobileconfig — пайдалуу жүктөрдүн plist. Эки тизме кандайдыр бир нерсени импорттоодон мурун суроонун көбүнө жооп берет.
Тексттик профиль үчүн ал алып жүргөн PEM блокторун санаңыз: grep -c "PRIVATE KEY" your-profile.ovpn. Нөлдөн башка натыйжа файлда ачкыч материалы бар экенин жана ошол учурдан сырсөз катары мамиле кылуу керектигин билдирет. Архив үчүн аны ачпай тизмелеңиз: tar -tf export.tbz, же unzip -l export.zip, эгер кардар zip жасаган болсо. Ошол тизмедеги ачкыч файлдары, сертификат файлдары жана өйдө же ылдый скрипттер колдонуучу эсебин кайра берүү кайра жаратпай турган бөлүктөр.
Карама-каршы учур да ошондой маанилүү. Профиль ачкычты киргизүүнүн ордуна файл аты менен көрсөтсө, экспорт атайын толук эмес жана жетишпеген жарымы аны берген тараптан келиши керек. Сертификат органы сиздики болсо, ошол файлды жанына көчүрсө болот; файл эски Mac-та жаралган түзмөккө байланган сертификат менен келсе, болбойт.
Эмнеге ачкычтар боосунун жарымы эч качан сапар тартпайт
macOS VPN сырсөздөрүн жана ачкыч сырсөз фразаларын кирүү ачкычтар боосунда сактайт, ал эми кардарлар аларды өз жөндөө файлдарында эмес, ошол жерде сакташат. Tunnelblick муну өзүнүн экспорт жана импорт колдонмосунда айтат: жөндөө архиви конфигурациялар менен жөндөөлөрдү алып жүрөт жана ачкычтар боосунда сакталган колдонуучу аттарын, сырсөздөрдү жана сырсөз фразаларын сыртта калтырат. Өткөрүп жиберүү атайын. Ачкычтар боосунун элементтери ар бир колдонуучу жана ар бир машина боюнча корголгон, андыктан көчүрүлгөн элементтин барар жеринде жарактуу кирүү көзөмөлү жок, бул же пайдасыз файлды, же ачык тексттеги сырды калтырат.
Көчүрүүнү пландаштыруудан мурун каттоо маалыматтары кайда жашаарын текшере аласыз. security find-internet-password -s vpn.example.com дал келген элементтин атрибуттарын басып чыгарат жана эч кандайы жок болсо, нөлдөн башка код менен чыгат; ошол эле буйрук -g менен сырсөздү ачууну талап кылат эле, ошондуктан ансыз суроо коопсуз текшерүү. Ал жерден табылуу профиль сырсөздү алып жүрбөйт жана ага мажбурлоо мүмкүн эмес дегенди билдирет. Бул ошондой эле сырсөз жаңы Mac-та кайра суралат жана эскисинде берилген «Дайыма уруксат берүү» ал жерде эч нерсени билдирбейт дегенди билдирет.
Бирок ар бир сыр ачкычтар боосунун элементи эмес. Tunnelblickтин өзүнүн пакет документтери пакетте ачкыч, сертификат жана скрипт файлдары болушу мүмкүн экенин белгилейт. Ошондуктан экспорттун ачкычтар боосунун жазууларын сыртта калтырышы экспорттун электрондук почта менен жөнөтүүгө коопсуз деген ырастоо менен бирдей эмес; архивде эмне бар экенин тизмелегенче аны купуя деп караңыз.
Жергиликтүү жана башкарылуучу VPN-дердин экспорт жолу жок
Системалык параметрлер аркылуу конфигурацияланган байланыштар колдоого алынган экспортту сунуштабайт. scutil --nc list система билген кызматтарды көрсөтөт, ал эми scutil --nc show "Work VPN" бир кызматтын конфигурациясын басып чыгарат, анын сервери менен протоколун окууга жетет. Экөө тең көчүрүү куралы эмес. /Library/Preferences/SystemConfiguration/preferences.plist ичинде сакталган кызмат идентификаторлору ошол файлга шилтемелер, ошондуктан файлды көчүрүп, идентификаторлорду кайра жазуу колдоого алынган өткөрүү эмес жана барар жердеги байланышсыз тармак кызматтарына тоскоол болушу мүмкүн.
Колдоого алынган жол — Apple документтештирген жол: администратор берген VPN жөндөө файлын орнотуңуз же оператор берген жөндөөлөрдү киргизиңиз. Байланыш башкарылуучу болсо, аны эски диалогдун скриншотунан кайра куруунун ордуна жаңы файл же жаңы каттоо сураңыз. MDM түрткөн профиль үчүн сертификат жүгү инсандыкты алып жүрүшү мүмкүн, ал эми жеке ачкыч түзмөктө жаралат, жана бул учурда эски профилдин кынтыксыз көчүрмөсү да жаңы Mac-ты аутентификациялай албайт.
Тизмеге ишенүүнүн ордуна калыбына келтирүүнү текшериңиз
Тизмедеги профиль жана иштеп жаткан туннель — эки башка абал, жана алардын бирөө гана билдирүүгө татыктуу. Импорттоп, туташкандан кийин туннель интерфейсинин бар экенин текшериңиз, анан туннелдин эмне кылып жатканын текшериңиз.
ifconfig | grep -A3 utun туннель интерфейсин жана анын даректерин көрсөтөт. scutil --dns | grep nameserver туташкандан кийин кайсы чечүүчүлөр активдүү экенин көрсөтөт, жана split-DNS профилдери адатта дал ушул жерде ажырайт. Анан чындап маанилүү ресурска жетиңиз: curl -sS -o /dev/null -w "%{http_code}" https://intranet.example.com. Үчөө тең өтсө, жөндөөлөр, DNS жана маршруттар жетти; кардардагы жашыл белги өз алдынча алардын эч бирин билдирбейт.
Импорттон кийин эки бузулуу көп көрүнөт жана экөө тең файлга жазылат. Жалпы аттар чечилип, ички аттар чечилбесе, адатта профилдин DNS серверлери ташталып калганын же split-DNS сакталбаганын билдирет. Көтөрүлүп, трафикти өткөрбөгөн туннель адатта маршруттар же сервер тарабындагы уруксат профилге ээрчибегенин билдирет. Ошол эле архивди кайра импорттоо экөөнү тең кайталайт.
Эски Mac-ты пенсияга чыгарбастан мурун
Экспортту жок кылуу — кайтарып алуу эмес. Эгер эски түзмөк сертификат менен аутентификацияланса, сервер ошол сертификатка ал кайтарылганга же кайра берилгенге чейин ишенет. Эгер ал жалпы эсеп менен аутентификацияланса, ошол эсептеги сессиялар азыр да тирүү болушу мүмкүн. Аппараттык камсыздоо али алдыңызда турганда сервер тарабындагы кадамды жасаңыз.
Жаңы профиль ачкыч камтыса, аны башка каттоо маалыматтарыңыз менен сактаңыз, жана сырсөздү кардарга териңиз, ал файлга эмес, жаңы ачкычтар боосуна түшсүн. Акыркы текшерүү: эски Mac өчүк турганда алмаштыргычтан туташыңыз. Баштапкы машина гана тармакта турганда иштеген өткөрүп берүү эч качан толук болгон эмес.